Анализ необходимости оценки состояния систем менеджмента информационной безопасности

Система менеджмента информационной безопасности является частью общей системы менеджмента, основанная на подходе рисков по созданию, внедрению, функционированию, мониторингу, анализу, поддержке и улучшению информационной безопасности.

Для получения точной информации о состоянии СМИБ важно постоянно проводить мониторинг и анализ защищаемой информационной системы в ходе которого производится оценивание состояния системы. Вследствие усложнения систем менеджмента появляется необходимость совершенствования научно-методического аппарата оценивания данных систем. Эффективность принятых мер, которые связаны со сбором и обработкой информации о системе определяется качеством оценок показателей СМИБ к затраченным ресурсам на проведение утвержденных мероприятий. На качество оценок показателей СМИБ большое влияние оказывает организация проведения мероприятий. Важным фактором оценивания состояния системы, с точки зрения бизнес потерь, является время, таким образом, для проведения качественной оценки информационной системы необходимо составление плана-графика (например, диаграмма Ганта), с целью распределения всех необходимых утвержденных мероприятий оценивания. С учетом быстро растущей динамики доступности различных информационных технологий, которые могут использовать злоумышленники, растет и вероятность появления угроз обеспечения информационной безопасности.

Вследствие этого остро становится вопрос о необходимости постоянного аудита систем информационной безопасности, для обнаружения потенциально опасных «узких» мест (действия персонала, аппаратных и программных средств). Следует производить оценку СМИБ систематически, т.е. циклично, при этом критерии оценки должны уточняться на каждом последующем этапе, а результаты мероприятий, проведенных на предыдущих этапах, следует учитывать на следующих.

Учитывая все вышесказанное, очевидна необходимость постоянного совершенствования методологического аппарата оценивания систем менеджмента ИБ, который учитывал бы описанные недостатки.

Повышение качества оценки СМИБ [1], с учетом стохастических факторов, влияющих на систему. Под качеством будем понимать достоверность и точность оценок определяемых характеристик. Под ограничением понимаются временные и стоимостные характеристики. В условиях сильно ограниченного времени на проверку, ввод и отладку внедряемой системы возникают возможности обеспечения нарушения информационной безопасности, таким образом, перед внедрением системы в эксплуатацию, следует провести эксперимент, который покажет на сколько внедряемая система «приживется» и какие возможные угрозы информационной безопасности возникнут вследствие ее внедрения. Этим обуславливается актуальность темы дальнейшего исследования.

Проектировщики больших технических систем должны максимально обезопасить их работу от так называемого человеческого фактора. Чтобы оценить эффективность внедряемой системы до ее реализации на этапе проектирования, требуется рассмотреть процесс ее работы и взаимодействия с внешней средой. В таких случаях принято описывать систему и ее взаимодействие с внешней средой с помощью математических уравнений и осуществлять математическое моделирование. На основе предложенных математических моделей необходимо создать имитационную модель. В некоторых случаях для простых систем достаточно ограничиваться регрессионными закономерностями. Но в большинстве случаев такой подход невозможен ввиду сложности создаваемой системы и влияния внешних воздействующих факторов. Под внешними воздействующими факторами понимается набор параметров, влияющих на техническую систему, таких как неконтролируемые параметры (внешняя среда) и контролируемые параметры (смежные системы) [2]. Имитационная модель позволяет описать реальную систему и проходящие в ней процессы так, как если бы они проходили в реальном времени. Такую модель можно «прокрутить» на протяжении некоторого времени и тем самым выяснить, что будет происходить с системой за некоторый временной отрезок. Поэтому на этапах моделирования внедряемой системы не стоит преуменьшать роль обеспечения информационной безопасности.

Информация, принадлежащая организация является объектом для угроз атак, поэтому ошибки ПО, угрозы воздействия техногенного характера (пожары, наводнения, ураганы и пр.), намеренное воздействие на систему злоумышленниками [3].

Таким образом, правильно будет называть информацию активом, который имеет ценность и который необходимо защитить. Качество и эффективность работы организации напрямую зависит от обеспечения возможности своевременного получения доступа к этой информации.

Литература

менеджмент информационный безопасность бизнес

1. ISO/IEC 27000:2014. Information technology - Security techniques - Information security management systems - Overview and vocabulary

2. Бобков СП., Бытев Д.О. Моделирование систем. Иваново, 2008. 156 с.

3. ГОСТ Р ИСО/МЭК 27000-2012. Системы менеджмента информационной безопасности. Общий обзор и терминология.

Размещено на Allbest.ru